Werbeblocker, Übersetzer, PDF-Tools, KI-Assistenten: Erweiterungen machen den Browser zum Arbeitswerkzeug. Wer Browser-Erweiterungen sicher nutzen will, muss allerdings wissen: Ein Add-on kann alles mitlesen, was im Browser passiert, also auch E-Mails, Microsoft-365-Dokumente und Passworteingaben. Hier erfahren Sie, worin die Risiken liegen und wie Sie Erweiterungen im Unternehmen kontrolliert zulassen.

Warum Erweiterungen so viel Macht haben

Eine Erweiterung läuft innerhalb des Browsers und bekommt die Rechte, die sie bei der Installation anfordert. Viele beliebte Add-ons verlangen die Berechtigung, „alle Ihre Daten auf allen Websites zu lesen und zu ändern“. Technisch bedeutet das:

• Sie sieht jede aufgerufene Seite, einschließlich Webmail, CRM, Online-Banking und Cloud-Speicher.
• Sie kann Formularinhalte auslesen, also auch Zugangsdaten beim Eintippen.
• Sie kann Seiten verändern, Links austauschen oder zusätzliche Inhalte einblenden.
• Sie kann auf Sitzungs-Cookies zugreifen, mit denen Angreifer eine bestehende Anmeldung übernehmen, ohne Passwort oder zweiten Faktor zu kennen.

Das ist kein theoretisches Szenario. Ende 2024 erbeuteten Angreifer per Phishing die Zugänge mehrerer Erweiterungsentwickler, darunter des Sicherheitsanbieters Cyberhaven, und verteilten über den Chrome Web Store manipulierte Updates. Die betroffenen Erweiterungen waren vorher seriös und wurden automatisch aktualisiert. Nutzer mussten also nichts falsch machen, um betroffen zu sein.

Typische Risiken im Überblick

Übernommene oder verkaufte Erweiterungen

Beliebte Add-ons mit vielen Nutzern sind für Angreifer und zwielichtige Datenhändler attraktiv. Entwickler verkaufen ihr Projekt oder verlieren den Zugang zu ihrem Konto. Das nächste Update enthält dann Tracking- oder Schadcode.

Datensammlung im Hintergrund

Kostenlose Erweiterungen finanzieren sich teils über das Surfverhalten ihrer Nutzer. Für ein Unternehmen ist das ein Datenschutzproblem, sobald interne Adressen, Kundendaten oder Suchanfragen abfließen.

KI- und Schreibassistenten

Erweiterungen, die Texte umformulieren oder zusammenfassen, senden Inhalte zur Verarbeitung an externe Server. Wer damit Angebote, Personalunterlagen oder Verträge bearbeitet, gibt diese Daten an Dritte weiter. Klären Sie vorher, ob das mit Ihren Datenschutzvorgaben vereinbar ist.

Gefälschte Erweiterungen

Nachahmer kopieren Namen und Logos bekannter Tools. Die Fälschung steht manchmal sogar im offiziellen Store, bis sie gemeldet wird.

Aktueller Stand: Manifest V3 in Chrome und Edge

Google hat die Erweiterungsplattform auf den neuen Standard Manifest V3 umgestellt. Seit Chrome 139 funktionieren ältere Erweiterungen nach Manifest V2 nicht mehr, Ende August 2026 wurden die letzten davon aus dem Chrome Web Store entfernt, darunter der bekannte Werbeblocker uBlock Origin. Manifest V3 schränkt einige Möglichkeiten ein, etwa das Nachladen von Code aus dem Internet. Das ist ein Sicherheitsgewinn, ersetzt aber keine eigene Kontrolle: Auch eine Manifest-V3-Erweiterung mit weitreichenden Berechtigungen kann Daten auslesen.

Prüfen Sie nach dieser Umstellung, ob auf Ihren Rechnern noch veraltete oder deaktivierte Erweiterungen liegen und welche Ersatzprodukte Mitarbeiter eigenmächtig installiert haben.

So prüfen Sie eine Erweiterung vor der Installation

1. Bedarf klären: Brauchen Sie die Funktion wirklich, oder kann der Browser sie schon selbst? Chrome und Edge bringen etwa Übersetzung, PDF-Anzeige und Passwortwarnungen bereits mit.
2. Herausgeber prüfen: Stammt die Erweiterung vom Hersteller der zugehörigen Software, zum Beispiel vom Anbieter Ihres Passwortmanagers? Gibt es eine nachvollziehbare Webseite mit Impressum?
3. Berechtigungen lesen: Ein Farbwähler braucht keinen Zugriff auf alle Websites. Wenn die angeforderten Rechte nicht zur Funktion passen, verzichten Sie.
4. Bewertungen kritisch lesen: Achten Sie auf aktuelle Bewertungen und plötzliche Beschwerden über Werbung, Weiterleitungen oder Besitzerwechsel.
5. Nur offizielle Stores nutzen: Chrome Web Store, Microsoft Edge Add-ons oder Firefox Add-ons, niemals Installationsdateien von Drittseiten.

Erweiterungen zentral verwalten

Im Unternehmen sollte nicht jeder Mitarbeiter selbst entscheiden, welche Erweiterungen auf seinem Rechner laufen. Chrome, Edge und Firefox lassen sich per Gruppenrichtlinie steuern. Bewährt hat sich ein Positivlisten-Ansatz:

• Alle Erweiterungen grundsätzlich sperren (in Chrome und Edge über die Sperrliste mit dem Platzhalter „*“).
• Geprüfte Erweiterungen gezielt freigeben, etwa den Firmen-Passwortmanager oder ein Add-in der Branchensoftware.
• Pflicht-Erweiterungen automatisch installieren lassen, damit sie überall vorhanden sind.
• Optional Erweiterungen mit bestimmten Berechtigungen blockieren.

So entsteht eine überschaubare Liste, die Sie einmal im Jahr überprüfen. Neue Wünsche laufen über die IT und werden nach den oben genannten Kriterien bewertet. Bei Managed Workplace gehört diese Browser-Härtung zur Grundkonfiguration, und auch die Browser-Anbindung an Microsoft 365 wird dabei sauber eingerichtet.

Was das für Ihr Unternehmen bedeutet

• Bestandsaufnahme machen: Welche Erweiterungen sind auf Ihren Rechnern installiert?
• Alles entfernen, was niemand braucht oder dessen Herkunft unklar ist.
• Eine Positivliste festlegen und per Gruppenrichtlinie durchsetzen.
• KI-Erweiterungen nur nach Prüfung der Datenverarbeitung zulassen.
• Einen Passwortmanager mit eigener, geprüfter Erweiterung statt der Browser-Passwortspeicherung verwenden. Hintergründe dazu im Beitrag Passwort-Manager.
• Mitarbeiter sensibilisieren: Eine Erweiterung ist Software mit Vollzugriff, kein harmloses Zusatzfeature.
• Den Browser aktuell halten und die Regelung in Ihren IT-Richtlinien dokumentieren.

Häufige Fragen

Sind Erweiterungen aus dem offiziellen Store automatisch sicher?

Nein. Die Stores prüfen Erweiterungen, können manipulierte Updates oder Besitzerwechsel aber nicht immer rechtzeitig erkennen. Der offizielle Store ist eine Mindestanforderung, keine Garantie.

Wie viele Erweiterungen sind zu viele?

Eine feste Zahl gibt es nicht. Jede zusätzliche Erweiterung vergrößert aber die Angriffsfläche. Faustregel: Was nicht regelmäßig genutzt wird, kommt weg.

Was tun, wenn eine installierte Erweiterung kompromittiert wurde?

Erweiterung sofort entfernen, alle aktiven Sitzungen in wichtigen Diensten wie Microsoft 365 abmelden und Passwörter der betroffenen Konten ändern. Prüfen Sie anschließend die Anmeldeprotokolle auf ungewöhnliche Zugriffe.

Sie möchten wissen, welche Erweiterungen in Ihrem Betrieb laufen, und eine klare Freigaberegel einführen? Interate-IT aus Gensingen begleitet Unternehmen in Rheinhessen und an der Nahe bei der Absicherung ihrer Arbeitsplätze. Melden Sie sich bei uns.